회사 이메일로 가입했나…“게임 계정 위협에 기업 대비해야”

넷플릭스·로블록스 등 회사 계정 7% 최근 온라인동영상서비스(OTT), 게임 등 엔터테인먼트 플랫폼 계정을 탈취하는 사이버침해 사고가 증가하고 있다. 가입 시 회사 이메일 주소를 사용하는 이용자가 늘면서 기업들이 이를 대비해야 한다는 지적이 나온다. 14일 카스퍼스키 DTI(Digital Footprint Intelligence) 연구팀에 따르면 계정이 유출된 넷플릭스와 로블록스, 디스코드 사용자 중 7%가 가입 시 회사 이메일 주소를 등록한 것으로 나타났다. 카스퍼스키는 직원들이 게임과 OTT 등 플랫폼 서비스에 이메일을 등록할 때 회사 계정을 사용할 경우 사이버 보안 위험을 초래할 수 있다고 했다. 지난해 아시아·태평양 국가에서 1100만개의 게임 계정 자격 증명이 유출됐다. 특히 인포스틸러 멀웨어(악성 소프트웨어)로 인해 570만개의 스팀(Steam) 계정이 해킹 당했다. 폴리나 트레티아크도 정보 탈취형 수법인 인포스틸러로 인해 회사 이메일이 노출될 경우 잠재적으로 더 광범위한 기업 위협에 노출될 수 있다고 봤다. 가령 사이버 공격자가 해당 직원에게 접근해 회사 디바이스에 멀웨어를 설치하도록 유인하거나 비밀번호를 무차별 대입할 수 있다. 비밀번호가 예측 가능한 패턴을 사용한다면 1시간 이내에 해독할 가능성이 높다. 특히 공격자가 직원 계정으로 회사 외의 다양한 시스템에 접속해 중요한 데이터를 검색하거나 회사 자원에 접근할 수도 있다. 카스퍼스키에 따르면 인포스틸러 수법은 크랙 게임과 치트 소프트웨어, 비공식 모드로 위장한 경우가 많았다. 사이버 공격자들은 주로 계정 비밀번호와 암호화폐 지갑 자격 증명, 신용카드 정보, 브라우저 쿠키 등 정보를 탈취했다. 카스퍼스키 관계자는 “일단 유출된 데이터는 다크넷 플랫폼에서 거래되거나 무료로 제공돼 다른 사이버 범죄자들이 추가 공격에 활용할 수 있다”며 “개인과 업무 관련 활동이 동일한 디바이스에서 공존하는 경우가 많은 아태 지역에서 흔한 하이브리드와 BYOD(Bring-Your-Own-Device) 환경에서 특히 위험할 수 있다”고 말했다.